Saltar al contenido principal

Configuraciones recomendadas para CloudPanel

ivan@ivancarlos.com.br
Actualización

Desactivación de servicios no utilizados:

MariaDB

  • Es el servicio de base de datos predeterminado de CloudPanel, compatible con instrucciones MySQL
  • Desactívelo si no utiliza esta base de datos
sudo systemctl disable mariadb --now

PHP.FPM

  • Son los servicios que permiten la ejecución de aplicaciones PHP
  • Desactívelos si no utiliza aplicaciones PHP, puede desactivar solo las versiones no utilizadas. Los sitios PHP usan PHP 8.0 por defecto y pueden cambiarse desde el panel de configuración. Si PHP 8.0 se desactiva, algunos procesos como la creación de sitios PHP pueden fallar.
sudo systemctl disable php7.1-fpm --now
sudo systemctl disable php7.2-fpm --now
sudo systemctl disable php7.3-fpm --now
sudo systemctl disable php7.4-fpm --now
sudo systemctl disable php8.0-fpm --now
sudo systemctl disable php8.1-fpm --now
sudo systemctl disable php8.2-fpm --now
sudo systemctl disable php8.3-fpm --now
sudo systemctl disable php8.4-fpm --now

Paquetes de servicios menos utilizados:

  • Memcached: Es un sistema de caché de objetos equivalente a Redis
  • Postfix: Es un servicio para envío y entrega de mensajes de correo electrónico
  • ProFTPD: Es un servicio que habilita accesos vía FTP
  • Uncomplicated Firewall: Es un buen firewall para proteger los puertos abiertos en el sistema operativo cuando está expuesto a internet
  • Varnish: Es un buen sistema de caché de páginas pero depende de la manipulación del servicio web
sudo systemctl disable memcached --now
sudo systemctl disable postfix --now
sudo systemctl disable proftpd --now
sudo systemctl disable ufw --now
sudo systemctl disable varnish --now

Configuraciones importantes del panel:

  • Backup de los sitios del panel: https://[domain]/admin/remote-backup
  • Dominio del panel (puerto predeterminado: 8443): https://[domain]/admin/settings
  • Zona horaria del panel: https://[domain]/admin/instance/settings
  • 2FA del usuario: https://[domain]/security
  • Zona horaria del usuario: https://[domain]/settings

Configuraciones importantes por shell:

Redis recomienda que la configuración vm.overcommit_memory siempre sea 1, así como la configuración de un bind que aún no está disponible puede impedir que Redis se inicie. Puede ejecutar las líneas a continuación para agregar vm.overcommit_memory = 1 y net.ipv4.ip_nonlocal_bind = 1 en el archivo /etc/sysctl.conf y luego aplicar la configuración ejecutando sysctl -p.

{
  # 1. Manejar vm.overcommit_memory
  if grep -q "^vm.overcommit_memory" /etc/sysctl.conf; then
    sudo sed -i 's/^vm.overcommit_memory.*/vm.overcommit_memory = 1/' /etc/sysctl.conf
  else
    echo "vm.overcommit_memory = 1" | sudo tee -a /etc/sysctl.conf
  fi

  # 2. Manejar net.ipv4.ip_nonlocal_bind
  if grep -q "^net.ipv4.ip_nonlocal_bind" /etc/sysctl.conf; then
    sudo sed -i 's/^net.ipv4.ip_nonlocal_bind.*/net.ipv4.ip_nonlocal_bind = 1/' /etc/sysctl.conf
  else
    echo "net.ipv4.ip_nonlocal_bind = 1" | sudo tee -a /etc/sysctl.conf
  fi

  # 3. Aplicar cambios inmediatamente
  sudo sysctl -p
}

Puede verificar si Redis presenta esta recomendación o algún otro error en su log ejecutando:

sudo tail -f /var/log/redis/redis-server.log

Puede verificar las consultas que llegan a Redis con este comando: 

redis-cli monitor

Configuraciones importantes del vhost:

Configuración principal de nginx, incluyendo eliminación del antiguo GeoIP y actualización de las reglas de los encabezados de seguridad:

Reescribe reglas de nginx, incluyendo eliminación de GeoIP, optimizaciones de rendimiento y seguridad, usualmente sin impacto para aplicaciones:

########## Reescribir archivo nginx.conf ##########
sudo tee /etc/nginx/nginx.conf > /dev/null << 'EOF'

user root;
worker_processes auto;
pid /run/nginx.pid;
worker_rlimit_nofile 8192;
include /etc/nginx/modules-enabled/*.conf;

events {
    worker_connections 2000;
    # multi_accept on;
}

http {
    real_ip_recursive on;
    set_real_ip_from 127.0.0.1;
    real_ip_header X-Forwarded-For;

    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';

    log_format cloudflare '$http_cf_connecting_ip - $remote_user [$time_local] "$request" '
                          '$status $body_bytes_sent "$http_referer" '
                          '"$http_user_agent" "$http_x_forwarded_for"';

    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;

    client_max_body_size 64M;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    server_names_hash_bucket_size 128;
    server_tokens off;
    port_in_redirect off;
    disable_symlinks if_not_owner from=/home/;

    map $scheme $fastcgi_https { ## Detectar cuando se usa HTTPS
      default off;
      https on;
    }

    include /etc/nginx/blocked_ips;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    ssl_ciphers EECDH+AESGCM:EDH+AESGCM;
    ssl_prefer_server_ciphers on;
    ssl_conf_command Options KTLS;
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_dhparam /etc/nginx/ssl/dhparams.pem;

    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    access_log /var/log/nginx/access.log;
    error_log /var/log/nginx/error.log;

    limit_req_zone $binary_remote_addr zone=limit:10m rate=1r/s;
    limit_req_zone $binary_remote_addr zone=static:5m rate=30r/s;

    gzip on;
    gzip_disable "msie6";
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript image/svg+xml;

    brotli on;
    brotli_comp_level 6;
    brotli_static on;
    brotli_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript image/svg+xml;

    include /etc/nginx/sites-enabled/*.conf;
    
    map $http_upgrade $connection_upgrade {
        default upgrade;
        ''      close;
    }
}

EOF

########## Reescribir archivo global_settings ##########
sudo tee /etc/nginx/global_settings > /dev/null << 'EOF'

  ### Incluir encabezados de seguridad para el bloque server
  include /etc/nginx/security_headers;

  ### INICIO Habilitar validación de dominio Nostr y Lightning Address
  location ~ ^/.well-known/(nostr.json|lnurlp/.*) {
    add_header Content-Type application/json always;
    add_header Access-Control-Allow-Origin * always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    add_header alt-svc 'h3=":443"; ma=86400' always;
  }
  ### FIN Habilitar validación de dominio Nostr y Lightning Address

  ### INICIO Configuraciones para Traffic Advice
  location = /.well-known/traffic-advice {
    types { }
    default_type "application/trafficadvice+json; charset=utf-8";
    allow all;
  }
  ### FIN Configuraciones para Traffic Advice

  ### INICIO Redirección security.txt
  location /.well-known/security.txt {
      if ($host != 'icc.gg') {
          return 301 https://icc.gg/.well-known/security.txt;
      }
  }
  ### FIN Redirección security.txt

  ### INICIO Denegar acceso a archivos ocultos y control de versiones
  location ~ /\.(ht|svn|git) {
    deny all;
    access_log off;
    log_not_found off;
  }
  ### FIN Denegar acceso a archivos ocultos y control de versiones

  ### INICIO Bloque para RPC legado de WordPress 
  location = /xmlrpc.php {
    deny all;
  }
  ### FIN Bloque para RPC legado de WordPress 

EOF

########## Escribir archivo global_settings ##########
sudo tee /etc/nginx/security_headers > /dev/null << 'EOF'

  ### INICIO Estándares de seguridad en encabezados
  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
  add_header X-Frame-Options SAMEORIGIN always;
  add_header X-Content-Type-Options nosniff always;
  add_header Referrer-Policy strict-origin-when-cross-origin always;
  add_header Permissions-Policy "geolocation=(), microphone=(), accelerometer=(), camera=(), gyroscope=(), magnetometer=(), payment=(), usb=(), display-capture=(), midi=()" always;
  add_header Content-Security-Policy "img-src https: data: blob:; script-src 'unsafe-inline' 'unsafe-eval'; script-src-elem 'self' 'unsafe-inline' blob: https: data:; style-src 'self' 'unsafe-inline'; style-src-elem 'self' 'unsafe-inline' https:; frame-src 'self' blob: https:; worker-src 'self' blob:; frame-ancestors 'self'; object-src 'self'; base-uri about: https:; upgrade-insecure-requests;" always;
  add_header alt-svc 'h3=":443"; ma=86400' always;
  ### FIN Estándares de seguridad en encabezados

EOF

########## Reescribir archivo global_settings ##########
sudo tee /etc/nginx/sites-enabled/default.conf > /dev/null << 'EOF'

### 1. HTTP (Puerto 80) Captura todo: Redirige TODO el tráfico HTTP a HTTPS
server {
    listen 80 default_server;
    listen [::]:80 default_server;

    server_name _;

    # Actualiza todo el tráfico puerto 80 a HTTPS preservando el dominio solicitado
    return 301 https://$host$request_uri;
}

### 2. HTTPS (Puerto 443) Captura todo: Cierra conexiones SSL/TLS no coincidentes
server {
    listen 443 default_server ssl;
    listen [::]:443 default_server ssl;
    listen 443 quic reuseport default_server;
    listen [::]:443 quic reuseport default_server;

    server_name _;

    # Aborta el handshake TLS si el SNI del dominio no coincide con ningún bloque vhost
    ssl_reject_handshake on;

    # Retorno para cerrar conexión limpiamente sin encabezados de respuesta
    return 444;
}

EOF

########## Eliminar todas las funciones GEOIP heredadas ##########
sudo find /etc/nginx -type f -exec sed -i '/GEOIP_/Id' {} +
sudo rm -rf /etc/nginx/geoip
sudo rm -f /etc/nginx/proxy.conf
sudo rm -f /etc/nginx/modules-enabled/50-mod-http-geoip.conf
sudo rm -f /usr/share/nginx/modules-available/mod-http-geoip.conf

########## Renombrar para deshabilitar todos los módulos extra en nginx excepto brotli ##########
cd /etc/nginx/modules-enabled && for f in *.conf; do [[ "$f" != "50-mod-ngx-brotli.conf" ]] && mv "$f" "${f%.conf}.disabled"; done

########## Reescribir archivo custom-domain.conf ##########
DOMAIN=$(grep -m1 -E '^\s*server_name\s+' /etc/nginx/sites-enabled/custom-domain.conf | sed -e 's/^[[:space:]]*server_name[[:space:]]\+//' -e 's/;.*//')
cat << 'EOF' | sed "s/{{DOMAIN}}/$DOMAIN/g" | sudo tee /etc/nginx/sites-enabled/custom-domain.conf > /dev/null
server {
  listen 443 quic;
  listen 443 ssl;
  listen [::]:443 quic;
  listen [::]:443 ssl;
  http2 on;
  http3 on;

  ssl_certificate_key /etc/nginx/ssl-certificates/custom-domain.key;
  ssl_certificate /etc/nginx/ssl-certificates/custom-domain.crt;
  server_name {{DOMAIN}};
  client_max_body_size 5048M;
  root /home/clp/htdocs/app/files/public;

  #access_log /home/clp/logs/nginx/access.log;
  error_log /home/clp/logs/nginx/error.log;

  add_header Cache-Control no-transform;

  location / {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_pass https://127.0.0.1:8443/;
    proxy_max_temp_file_size 0;
    proxy_connect_timeout 7200;
    proxy_send_timeout 7200;
    proxy_read_timeout 7200;
    proxy_buffer_size 128k;
    proxy_buffers 4 256k;
    proxy_busy_buffers_size 256k;
    proxy_temp_file_write_size 256k;
  }
}

EOF

clear

########## Probar y reiniciar nginx ##########
sudo nginx -t && sudo systemctl reload nginx

Instalación de sistemas específicos en CloudPanel:

En instalaciones de YOURLS, donde es necesario cambiar la búsqueda de index.php a yourls-loader.php, modifique la entrada try_files $uri $uri/ /index.php?$args; de la siguiente manera:

 ### INICIO entrada personalizada para YOURLS
 try_files $uri $uri/ /yourls-loader.php$is_args$args;
 # try_files $uri $uri/ /index.php?$args;
 ###  FIN entrada personalizada para YOURLS

¡Hecho!

¿Fue útil este artículo?

Usuarios a los que les pareció útil: 0 de 0
Regresar al inicio

Artículos relacionados